Linux安全性能检查常用命令

 １．Accounts检查 # less /etc/passwd ＃ grep :0: /etc/passwd 注意新的用户，和UID,GID是0的用户． ２．Log检查 注意“entered promiscuous mode” 注意错误信息 注意Remote Procedure Call (rpc) programs with a log entry that includes a large number (> 20) strange characters(-^PM-^PM-^PM-^PM-^PM-^PM-^PM-^PM) 最后一条目前还没理解，也没碰到过．（哪位高手明白评论里指点一二，不胜感激） ３．Processes检查 # ps -aux 注意UID是０的 # lsof -p 可疑的进程号 察看该进程所打开端口和文件 ４．Files检查 # find / -uid 0 –perm -4000 –print # find / -size +10000k –print # find / -name “...“ –print # find / -name “.. “ –print # find / -name “. “ –print # find / -name “ “ –print 注意SUID文件，可疑大于１０Ｍ，．．．，．．，．和空格文件 ５．Rpm检查 # rpm –Va 输出格式： S – File size differs M – Mode differs (permissions) 5 – MD5 sum differs D – Device number mismatch L – readLink path mismatch U – user ownership differs G – group ownership differs T – modification time differs 注意和这些相关的 /sbin, /bin, /usr/sbin, and /usr/bin 平时养成安装第三方文件时check　MD5的习惯，呵呵，要不太恐怖了 运行的时候会出很多５或者missing的提示，如果不是上面及格目录的，不用太注意 ６．Network检查 # ip link 　 grep PROMISC 正常网卡不该在promisc模式，当然安全server除外，否则可能是有人入侵在sniffer # lsof –i # netstat –nap 察看不正常打开的TCP/UDP端口，嘿嘿，需要平时注意，比较，好像我没这样用心过：） # arp –a 这个更恐怖了，难道叫人document所有的MAC地址先 ７．Schedule检查 注意root和UID是０的schedule # crontab –u root –l # cat /etc/crontab # ls /etc/cron.*